windows服务器防暴力破解需严设密码策略与账户锁定机制：密码须12位以上、含三类字符、60天更换、禁复用24次旧密；账户锁定阈值5次、锁定及计数器重置均为30分钟；并禁lm哈希、升ntlmv2等级、禁用guest账户。
要让Windows服务器账户真正防得住暴力破解和弱口令风险，核心就两条：密码策略必须够严，账户锁定机制必须及时生效。不靠花哨功能，只抓关键项，配置到位就能大幅抬高攻击门槛。
一、密码策略五项硬指标
这些设置统一在“组策略编辑器”（gpedit.msc）中完成，路径为：计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略。
- 密码必须符合复杂性要求：启用——强制密码含大写字母、小写字母、数字、特殊字符中的至少三类（如 Abc@123 合规，password123 不合规）
- 密码长度最小值：设为12——8位是等保底线，12位更稳妥；微软允许1–14位，0表示无需密码（生产环境严禁）
- 密码最长使用期限：设为60天——比默认42天更短，避免旧密码长期暴露；90天是等保三级上限，但60天平衡安全与运维实际
- 密码最短使用期限：设为1天——防止用户刚改完立刻重设，绕过历史记录限制
- 强制密码历史：设为24——记住最近24个旧密码，彻底杜绝循环复用；域控制器默认即为24，单机也建议拉满
二、账户锁定三参数联动
仍在同一组策略路径下，切换到账户锁定策略文件夹，三项必须协同设置：
- 账户锁定阈值：5次无效登录——低于5次易被绕过，高于5次可能误伤正常用户
- 账户锁定时间：30分钟——足够阻断爆破节奏，又不至于影响管理员应急登录
- 重置账户锁定计数器：30分钟——与锁定时间一致，确保计数器清零窗口和锁定时长匹配，避免策略失效
配置后可通过事件查看器（eventvwr.msc）→“Windows 日志”→“安全”，筛选事件ID 4740 验证是否触发锁定。
三、补充加固不可跳过
仅靠组策略还不够，以下两项能堵住常见绕过路径：
- 禁用LM哈希存储：注册表定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa，新建 DWORD 值 NoLMHash = 1，重启生效——防止NTLMv1降级攻击
- 提升身份验证等级：同一注册表路径下，设置 LmCompatibilityLevel = 5，强制使用NTLMv2，禁用明文或弱哈希协商
- 禁用Guest账户：计算机管理 → 本地用户和组 → 用户 → 右键Guest → 属性 → 勾选“账户已禁用”
四、验证与持续维护
策略生效不等于万事大吉，需定期确认：
- 用普通账户实测：连续输错5次密码，观察是否锁定；等待30分钟后再次尝试，确认是否自动解锁
- 检查策略是否被覆盖：若服务器加入域，域策略优先级高于本地策略，需在域控制器上核查GPO继承关系
- 禁用“用可还原的加密来存储密码”：该选项一旦启用，密码可被轻易解密，必须设为“已禁用”
